Criptografía post-cuántica: por qué 2029 ya importa y qué deberías revisar desde hoy
Google y Cloudflare aceleran sus planes post-cuánticos hacia 2029. Te contamos qué cambia de verdad y qué debe revisar ya cualquier equipo técnico.
La seguridad post-cuántica ha dejado de ser un debate lejano para laboratorios y grandes consultoras. En 2026, Google ha fijado una hoja de ruta hacia 2029 para acelerar la migración criptográfica y Cloudflare ha respondido moviendo también su objetivo de seguridad post-cuántica completa a ese mismo año. Cuando dos actores tan grandes aprietan el calendario, la lectura útil no es entrar en pánico, sino entender qué cambia de verdad para empresas, administradores y equipos que dependen de autenticación, certificados y acceso remoto.
La novedad importante no es solo que “algún día” un ordenador cuántico pueda romper parte de la criptografía actual. Lo que ha cambiado es el tono de urgencia. Google explica que su nuevo calendario responde a avances en hardware cuántico, corrección de errores y estimaciones de recursos. Y Cloudflare añade algo todavía más práctico: si la fecha crítica se acerca, el problema ya no es solo proteger datos cifrados hoy, sino evitar que mañana alguien pueda falsificar autenticaciones, claves o firmas digitales.
Qué significa exactamente eso de migración post-cuántica
En lenguaje simple, hablamos de sustituir o reforzar los sistemas criptográficos actuales por otros pensados para resistir ataques de ordenadores cuánticos suficientemente potentes. Google recuerda que el riesgo afecta tanto al cifrado como a las firmas digitales. El cifrado preocupa por los ataques de tipo store now, decrypt later: alguien captura tráfico hoy para intentar descifrarlo mañana. Pero si la amenaza se acorta, el foco se desplaza hacia algo todavía más delicado: la autenticación.
Cloudflare lo resume sin rodeos: un atacante con capacidad cuántica no necesitaría romper todo Internet; le bastaría con encontrar una clave de acceso remoto, un certificado o un mecanismo de actualización aún vulnerable. Ahí está el cambio de enfoque. No hablamos solo de confidencialidad futura, sino de integridad y control operativo.
Por qué 2029 importa más de lo que parece
Google publicó en marzo de 2026 una llamada clara a preparar la transición y, poco después, fijó 2029 como horizonte para asegurar su propia migración post-cuántica. En esa misma línea, Cloudflare explicó en abril que acelera su hoja de ruta y prioriza también la autenticación post-cuántica. No es casualidad que ambos converjan.
Parte del cambio viene de nuevas estimaciones divulgadas por Google Research, que sostienen que ciertos problemas de criptografía de curva elíptica podrían requerir muchos menos recursos cuánticos de los que se asumían antes. No hace falta exagerarlo diciendo que “mañana se rompe todo”. Sí conviene entender otra cosa: el margen cómodo se ha estrechado, y las migraciones de verdad no se improvisan en un trimestre.
Qué debería revisar hoy una empresa o un administrador
La respuesta práctica no es reemplazar todo esta tarde, pero sí empezar por un inventario serio. Conviene localizar al menos estos puntos:
- certificados y PKI internos o externos,
- VPN y acceso remoto de empleados y proveedores,
- claves SSH o mecanismos equivalentes en servidores críticos,
- firmas de software y actualizaciones,
- integraciones SaaS que hereden identidad o sesión,
- y cualquier sistema que dependa de autenticación de máquina a máquina.
Cloudflare insiste además en que una sola credencial o clave olvidada puede convertirse en la puerta fácil. Esa idea encaja con algo que ya vemos en la ciberseguridad diaria: el problema rara vez es “la teoría perfecta”, sino el eslabón operativo más descuidado.
No todo es criptografía: también importa cómo atacan hoy
Aquí viene un matiz importante. El Threat Report 2026 de Cloudflare deja claro que el panorama actual ya está dominado por atacantes que buscan la vía más rentable: robo de tokens de sesión, abuso de integraciones SaaS, herramientas cloud legítimas usadas como camuflaje y operaciones a gran escala asistidas por IA. Eso significa que prepararse para la era post-cuántica no sustituye las medidas básicas de hoy.
Si tus accesos siguen mal segmentados, si las sesiones duran demasiado, si no revisas integraciones de terceros o si dependes de claves sin rotación, el problema no empieza en 2029: empieza ahora. La migración post-cuántica debe entrar en una estrategia de identidad, parcheo y acceso mínimo, no funcionar como eslogan aislado.
Señales de que vas tarde aunque aún no lo parezca
- No sabes qué sistemas usan aún ECC o RSA para autenticación crítica.
- No tienes inventario claro de certificados, claves o firmware firmado.
- Tu acceso remoto depende de configuraciones heredadas que nadie revisa.
- Confías en MFA pero no controlas bien el robo de tokens de sesión.
- Las actualizaciones de software internas no tienen una cadena de firma bien auditada.
Si te reconoces en varios puntos, no significa que estés perdido, pero sí que conviene mover la conversación desde innovación a higiene técnica. Eso suele ser mucho menos glamuroso y bastante más útil.
Qué puedes hacer ya sin caer en humo
- Inventariar dónde usas criptografía para autenticar, firmar o mantener acceso persistente.
- Revisar qué productos y proveedores ya ofrecen o planean ofrecer PQC realista.
- Priorizar sistemas con exposición alta: VPN, acceso admin, PKI, actualizaciones y servicios públicos.
- Reducir riesgo actual con rotación de claves, segmentación, sesiones más cortas e integraciones mínimas.
- Seguir de cerca la evolución oficial de actores como Google, Cloudflare y los estándares del ecosistema.
No hace falta venderlo como apocalipsis. Pero tampoco como una moda más. Cuando el calendario de migración se aprieta, las organizaciones que van mejor no son las que publican más notas de prensa, sino las que ya saben qué tienen, qué depende de qué y qué no pueden permitirse dejar vulnerable.
Conclusión práctica para su-ip.es
La noticia importante no es que “el futuro cuántico se acerca” en abstracto. La noticia es que Google y Cloudflare ya están marcando 2029 como fecha operativa seria y que el foco se está moviendo hacia la autenticación, las firmas y el acceso confiable. Para quien administre infraestructura, equipos o servicios, la pregunta correcta ya no es si el tema existe, sino cuándo empezar a ordenar inventario y prioridades.
La respuesta razonable es: ahora, pero con cabeza. Menos titulares grandilocuentes y más revisión de certificados, sesiones, proveedores y claves reales.
Fuentes contrastadas
- Google: hoja de ruta de migración criptográfica hacia 2029
- Google Research: nuevas estimaciones y divulgación responsable
- Cloudflare: objetivo 2029 para seguridad post-cuántica completa
- Cloudflare Threat Report 2026
Si quieres seguir reforzando la parte práctica, en su-ip.es ya hemos tratado temas cercanos como los zero-day de Chrome explotados en 2026 y la guía sobre seguridad de Android 17.